Hackerská skupina Lazarus, která je dlouhodobě spojována se Severní Koreou, pokračuje ve své kampani Operation Dream Job neboli Operace Vysněná práce. Její princip je jednoduchý: útočníci osloví vybranou oběť s atraktivní pracovní nabídkou, často pod jménem známé společnosti, a následně ji přesvědčí ke stažení zdánlivě neškodného dokumentu.
Právě v tomto okamžiku se ale může do počítače dostat škodlivý kód. Podle analýzy společnosti Check Point Lazarus svou techniku dále zdokonalil a v aktuální kampani kombinuje sociální inženýrství s novým malwarem, kompromitovanou webovou infrastrukturou a zranitelností systému Windows označenou jako CVE-2026–68820.
Útočníci cílí na obranný a letecký průmysl
Aktuální kampaň se zaměřuje především na odborníky působící v obranném, leteckém a kosmickém průmyslu. Útočníci navazují kontakt například prostřednictvím LinkedInu nebo aplikací pro přímou komunikaci a nabízejí pracovní pozice, které mají odpovídat zkušenostem konkrétní oběti.
Následuje zaslání podrobností o pracovní nabídce. Ty mohou být ukryté v souboru, který se tváří jako běžný PDF dokument. Ve skutečnosti ale může obsahovat několik komponent umožňujících postupné spuštění malwaru a získání vzdáleného přístupu k počítači.
Check Point identifikoval dva hlavní infekční řetězce. První využívá techniku známou jako DLL sideloading, při níž útočníci kombinují legitimní digitálně podepsaný prohlížeč PDF se škodlivou knihovnou DLL a zašifrovaným obsahem maskovaným jako dokument.
Falešné PDF skrývá malware
Po spuštění souboru se oběti zobrazí zdánlivě legitimní popis pracovní pozice. Na pozadí ale škodlivá knihovna dešifruje a spouští další část útoku. Malware následně komunikuje s infrastrukturou útočníků prostřednictvím služeb Microsoft Graph API a OneDrive.
Po dokončení dalších kroků může být do systému nasazen backdoor ForestTiger, který útočníkům poskytne dlouhodobý vzdálený přístup k napadenému zařízení. Celý proces je navržen tak, aby uživatel měl co nejmenší důvod podezřívat dokument, který otevřel.
Druhá varianta útoku je ještě sofistikovanější. Oběť je vyzvána ke stažení aplikace SecurityPDF, tedy upraveného prohlížeče PDF souborů obsahujícího trojského koně. Útočníci pro jeho distribuci vytvořili několik webových stránek vydávajících se za legitimní technologickou společnost Enveil.
Nový backdoor dokáže převzít kontrolu nad počítačem
Upravený prohlížeč při otevření PDF souborů kontroluje, zda neobsahují speciální skrytý marker. Pokud jej najde, dešifruje vložený škodlivý kód a přímo do operační paměti načte nově objevený backdoor Troy.
Přestože jde o relativně malý soubor, Troy nabízí útočníkům široké možnosti. Dokáže pracovat se soubory, stahovat a nahrávat data, balit a odcizovat informace, vzdáleně spouštět příkazy, ukončovat procesy nebo načítat další škodlivé knihovny přímo do paměti počítače.
Celkem mohou útočníci prostřednictvím tohoto backdooru využívat 17 různých příkazů. Cílem je především získat dostatečný přístup k zařízení, který umožní pokračovat v útoku a postupně rozšiřovat kontrolu nad systémem.
Nová chyba ve Windows umožňuje zvýšit oprávnění
Klíčovou součástí kampaně je zranitelnost CVE-2026–68820. Malware po infiltraci počítače dokáže tuto chybu zneužít ke zvýšení oprávnění z omezené úrovně až na úroveň prakticky úplné kontroly nad systémem.
Výzkumníci společnosti Check Point původně předpokládali, že jde o dříve známou chybu opravenou Microsoftem v roce 2025. Testování na plně aktualizovaném systému Windows 11 ale ukázalo, že Lazarus využívá novou zranitelnost.
Check Point problém nahlásil Microsoftu 28. července. Společnost následně zranitelnost potvrdila, přidělila jí označení CVE-2026–68820 a 11. srpna vydala opravu v rámci pravidelného Patch Tuesday.
Útočníci se schovávají za legitimní servery
Zajímavá je také infrastruktura používaná pro komunikaci mezi napadenými zařízeními a útočníky. Lazarus stále častěji nevyužívá vlastní servery, ale kompromitované instalace webmailu Roundcube a systémy pro správu obsahu.
Útočníci napadené servery vybavují nástrojem RelayShell, který funguje jako prostředník pro předávání příkazů a odpovědí. Komunikace tak může na první pohled působit jako běžný provoz legitimních webových služeb a její odhalení je složitější.
Check Point identifikoval nejméně 17 serverů zapojených do této komunikační infrastruktury. Útočníci navíc využívají komerční VPN služby, aby dále ztížili odhalení své skutečné polohy.
Rizikem jsou i nezáplatované firemní servery
Kampaň zároveň ukazuje, že organizace se nemusí stát pouze přímým cílem útoku. Nedostatečně zabezpečený nebo nezáplatovaný veřejně dostupný server může být kompromitován a následně využíván jako součást infrastruktury kyberzločinců.
V případě některých napadených systémů útočníkům stačily známé zranitelnosti a přihlašovací údaje uniklé na dark web. Pro firmy je proto důležité nejen rychle instalovat bezpečnostní aktualizace, ale také sledovat případné úniky přístupových údajů a kontrolovat systémy dostupné z internetu.
Bezpečnostní aktualizace je potřeba instalovat co nejrychleji
Aktuální útoky byly zaznamenány v Evropě, Asii i Jižní Americe, mimo jiné ve Francii, Německu, Brazílii a Indii. Check Point proto doporučuje organizacím prioritně nainstalovat srpnové bezpečnostní aktualizace Windows, které opravují také zranitelnost CVE-2026–68820.
Zvýšenou pozornost by měli uživatelé věnovat také nevyžádaným pracovním nabídkám a požadavkům na stažení souborů z neověřených zdrojů. Ani atraktivní nabídka od známé společnosti nemusí být zárukou, že komunikace skutečně pochází od legitimního zaměstnavatele.
Zdroj: Check Point
